CVE-2026-12083
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Admin and Site Enhancements (ASE) dla WordPressa przed wersją 8.8.4 nie przeprowadza uwierzytelniania, autoryzacji ani sprawdzania nonce w procedurze przywracania roli, co pozwala nieuwierzytelnionym atakującym na przywrócenie wcześniej zdegradowanego konta administratora do roli administratora. Jest to niekompletna poprawka CVE-2024-43333 / CVE-2025-24648, która zamknęła problem tylko dla jednej ze ścieżek degradacji dostępnych w API ról WordPressa.
Ocena ryzyka
Ryzyko polega na tym, że nieuwierzytelniony atakujący może przywrócić uprawnienia administratora zdegradowanemu kontu, co może prowadzić do przejęcia kontroli nad witryną WordPress i dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Admin and Site Enhancements (ASE) do wersji 8.8.4 lub nowszej, aby wyeliminować podatność.
Oryginalny opis (angielski, źródło NVD)
The Admin and Site Enhancements (ASE) WordPress plugin before 8.8.4, admin-site-enhancements-pro WordPress plugin before 8.8.4 does not perform authentication, authorization, or nonce checks on a role-restoration request handler, allowing unauthenticated attackers to restore a previously demoted administrator account back to the administrator role. This is an incomplete fix of CVE-2024-43333 / CVE-2025-24648, which closed the issue for only one of the demotion paths the WordPress role API exposes.